@TOC
1、SafeSEH原理很简单:
在程序调用异常处理函数之前,对要调用的异常处理函数进行校验,当发现异常处理函数不可靠时停止对异常处理函数的调用。
编译器在编译程序时将程序所有的异常处理函数地址提取出来,编入一张安全的SHE表,并将这张表放到程序的映像里面。当程序调用异常处理函数时将函数地址与安全SHE表进行匹配,检查调用的异常处理函数是否在安全的SHE表中。
2、SafeSEH机制的运行机理:
(1)首先会检查异常处理链是否在当前程序栈中,如果不在,将停止对异常处理函数的调用。
(2)检查异常处理函数指针是否指向当前程序栈,如果是,将停止对异常处理函数的调用。
(3)当前两项检查都通过后,程序调用一个全新的函数RtlIsValidHandler(),来对异常处理函数进行有效性验证。
RtlIsValidHandler()函数对以下3种情况允许异常处理函数执行。
(1) 异常处理函数位于加载模块内存范围外,DEP关闭。
(2) 异常处理函数位于加载模块内存范围内,相应模块未启用SafeSEH(不存在SHE表),同时相应模块不是纯IL。
(3) 异常处理函数位于加载模块内存范围内,相应模块启用SafeSEH,异常处理函数在SHE表中。
3、绕过方法
针对这3中情况,我们采取如下3种方法进行绕过
(1) 在加载模块内存范围外找到一个跳板指令就可以转入shellcode执行。
(2) 利用未启用SafeSEH模块中的指令作为跳板,转入shellcode执行。
(3) 两种思路:情况SHE表造成未启用SafeSEH的假象;将指令注册到安全SHE表中,但由于安全SHE表信息在内存中是加密存放的,因此此路不同。
(4) 还有一个思路:如果SHE中的异常函数指针指向堆区,即使安全校验发现异常处理函数不可信,仍会调用被修改过的异常处理函数!WHY???